【速報】Arbitrum 上のRWA永久先物取引プラットフォーム Ostium がハッキングされ、1,800万ドルが被害に！オラクルの秘密鍵流出が惨事を招いた

アービトラムの生態系で重大なセキュリティ事件が発覚！現実世界資産（RWA）に注力する分散型・サステナブル（永続）契約プラットフォームの Ostium がハッキング被害に遭った。オラクル（Oracle）の秘密鍵が流出し、ハッカーが悪意をもって価格を操作。その結果、損失は最大 1,800 万ドル USDC に達し、同社の金庫資金の約 35% を占める。現在、公式が緊急で調査を進めている。
（前提：Dragonfly パートナー：DeFi「ハッカーの終末」 は約束された結末が果たされず、2026 年の盗難額の年換算は 18.9 億ドルのみ）
（背景追記：Robinhood の創業者がライブ配信で手記を漏らす！ハッカーが Meme 币を炒り、取引高が 2,000 万ドルに急増）

この記事目次

Toggle

• オラクルの秘密鍵が流出、ハッカーが狂ったように 900% の暴利を積み上げ
• 損失は 1,800 万ドル超、資金はすでに分散して移転
• 2780 万ドルの融資をトップ機関から獲得、公式が急いで調査

分散型金融（DeFi）分野の防衛ラインが、再び厳しい試練に直面している。台湾時間 2026 年 7 月 15 日、アービトラム上で展開されている現実世界資産（RWA）永続契約プラットフォーム Ostium に重大なセキュリティ脆弱性が発生し、流動性金庫がハッカーにより大規模に略奪された。

オラクルの秘密鍵が流出、ハッカーが狂ったように 900% の暴利を積み上げ

Blockaid など複数のブロックチェーン・セキュリティ機関による初期調査によれば、今回の攻撃の核心はスマートコントラクト自体のコード脆弱性ではなく、致命的な「オラクルの秘密鍵管理」の不備だった。攻撃者は、オラクル署名者（Oracle signer）の秘密鍵を入手した疑いがあり、それによりシステムの検証を回避し、恣意的に操作された価格データを送信したという。

🚨 Blockaid detected an @Ostium Vault exploit on Arbitrum.

An attacker used a registered PriceUpKeep forwarder and future-dated authorized oracle reports to create artificial trade profit, triggering a ~$18M USDC payout from the vault.
More details in 🧵

— Blockaid (@blockaid_) July 15, 2026

ハッカーは、登録済みの転送器（PriceUpKeep forwarder）を利用して、未来日付の認可オラクル報告書を提出することで、自分に有利な資産価格を偽造した。手口は次の通りだ。まず少量の USDC でビットコイン（BTC）のロングポジションを開設し、次に安い価格の報告書を提出して新規建て（開倉）。その後、高い価格の報告書を提出して決済（クローズ）し、瞬時にプラットフォームが設定した最高 900% の利益上限を発動させた。さらに、委任操作（Delegated actions）によってこのサイクルを約 20 回繰り返し、流動性金庫から資金を継続的に吸い上げた。

損失は 1,800 万ドル超、資金はすでに分散して移転

Arbiscan のチェーンデータによると、今回の攻撃により Ostium の主要な流動性金庫からは約 1,186 万〜1,800 万ドル相当の USDC が流出した。この巨額の損失は、同プラットフォームの金庫総規模（3,400 万ドル超）の約 35% にあたる。現在、ハッカーは一部の“盗んだ”資金をイーサリアム（ETH）に換金し、複数の異なるウォレットアドレスへ分散送金することで追跡回避を図っている。

トップ機関から 2780 万ドルの融資を獲得、公式が急いで調査

Ostium は、株式、コモディティ、外為（FX）、指数などの暗号資産ではない資産に注力する分散型永続契約プラットフォームで、その非暗号資産の未決済建玉の比率は 95% 以上にも達する。さらに Stork Network などのオラクル・サービスを採用している。過去の実績は好調で、累計取引量は 500 億ドルを突破しており、General Catalyst、Jump Crypto、Coinbase Ventures などのトップ・ベンチャーキャピタルから最大 2,780 万ドルの資融を受けていた。

記事作成時点で、Ostium チームは依然として本件について全面的な調査を進めており、完全な公式事後検討レポートはまだ公表されていない。公式は、ユーザーに対し、X（旧 Twitter）や Discord などの公式チャンネルで最新の発表を注意深く確認し、今後の出金ガイダンスやセキュリティ更新情報を入手するよう呼びかけている。この事件は、RWA と DeFi の全トラックに再び警鐘を鳴らし、オラクルの秘密鍵管理と即時監視メカニズムの絶対的な重要性を際立たせた。